Kaj je OTP v računalniški varnosti?

Akronim OTP se uporablja za sklicevanje na dve različni stvari v računalniški varnosti. Starejši pomen je »Enkratna ploščica«, v sodobnem kontekstu je veliko bolj verjetno, da se nanaša na »Enkratno geslo/geslo/PIN«. Kot verjetno ugibate iz skupne rabe izraza »Enkrat«, obstaja nekaj podobnosti.

One Time Pad – osnove

One Time Pad je metoda šifriranja. Teoretično je popolnoma varen in ga je nemogoče vdreti. Vendar se ne uporablja široko, ker ima vrsto omejitev in zahtev, ki resno ovirajo njegovo sposobnost preživetja v praksi. Prva težava je, da ploščica zahteva, da je šifrirni ključ na ploščici resnično naključen. Tudi generatorji psevdonaključnih števil PRNG, ki se uporabljajo za druge kriptografske namene, niso dovolj naključni, da bi bili varni. Kakršna koli stopnja predvidljivosti v ključnem gradivu ogroža predpostavko popolne tajnosti.

Postopek generiranja ključev mora biti popolnoma varen. Poleg tega mora biti način komunikacije z One Time Pad varen. Vse strani morajo nato še naprej varno shranjevati blazinice za enkratno uporabo. Uporabljene enkratne ključe je treba prav tako varno odstraniti. One Time Pad ne ponuja nobenega mehanizma za preverjanje pristnosti. Napadalec, ki pozna odprto besedilo in šifrirano besedilo, lahko obnovi ključ. To lahko nato uporabijo za ustvarjanje drugačnega šifriranega besedila, če le ohranijo sporočilo enake velikosti ali krajše. Končno je lahko sporočilo, ki se šifrira, dolgo le toliko, kot je dolgo vnaprej ustvarjen ključ.

Uporaba izraza "pad" izhaja iz dejstva, da se v večini primerov uporabe razdeli dostojno velika serija enkratnih ključev. Uporabna oblika je beležka z edinstvenim ključem na vsaki strani. Ko je treba sporočilo šifrirati, se uporabi najvišja stran. stran se nato običajno odstrani in uniči, da se prepreči njeno ogrožanje ali ponovna uporaba.

One Time Pad – zapleti

V praksi dejstvo, da je treba One Time Pad varno ustvariti, sporočiti in shraniti, tako kot vsako skupno skrivnost, zelo otežuje uporabo. Na primer, One Time Pad je varen le toliko kot komunikacijska metoda. Če se za varno komunikacijo ploščice zanašate na HTTPS, nasprotnik, ki bi lahko zlomil to šifriranje TLS, da bi pridobil ploščico, potem ne bi imel več težav pri dekodiranju sporočil. Kot taka digitalno komunicirana ploščica ne ponuja nobene dodatne varnosti. Pri uporabi fizične metode prenosa, tj. kurirja ali mrtvega prenosa, je blazinica varna ali pa ni. Zaradi tega so fizični bloki veliko bolj uporabni kot digitalni bloki. Poleg tega je računalniško podprte One Time Pads veliko težje varno izbrisati in se soočajo s težavami pri ohranjanju podatkov.

Če je One Time Pad ogrožen, ga je mogoče uporabiti za dešifriranje preteklih sporočil. Da bi se temu izognili, je stran običajno uničena, pogosto zažgana. To prepreči ponovno uporabo ključa ali odkritje. Ob predpostavki, da je ploščica ogrožena, vendar se upošteva praksa uničenja, preteklih sporočil ni mogoče dešifrirati. Prihodnja sporočila pa bi bilo potem mogoče dešifrirati.

V praksi je sodobna kriptografija običajno več kot dovolj varna. Ena prednost, ki jo ima One Time Pad, je ta, da se lahko uporablja ročno. Sodobna kriptografija je zelo kompleksna in za učinkovito uporabo potrebuje računalnik. Zaradi tega so One Time Pads uporabni v vohunskih okoljih, ko je treba sporočila poslati brez uporabe interneta ali računalnikov. Med hladno vojno so vohuni pogosto uporabljali One Time Pads, natisnjene na flash papir. Ker je izdelana iz nitroceluloze, se lahko uporabljena stran zelo hitro zažge brez ustvarjanja dima.

Enkratno geslo

Enkratno geslo je skrivni niz, ki se lahko uporablja za preverjanje pristnosti. Ostati mora skrivna, vendar je za razliko od One Time Pad ni mogoče uporabiti za šifriranje ničesar in nima posebnih zahtev glede naključnosti. Pogost primer uporabe enkratnih gesel je dvostopenjska avtentikacija. Na primer, aplikacija za dvostopenjsko preverjanje pristnosti ustvari kodo za enkratno uporabo na podlagi časa in skrivnosti za potrditev vaše identitete. Enkratno geslo niti ni nujno, da je edinstveno. Dvofaktorske kode so pogosto šestmestne. To zagotavlja dovolj naključnosti, da je zelo malo verjetno, da bi napadalec lahko uganil veljavnega ob pravem času.

Nekatera podjetja, kot so banke, lahko tudi vnaprej ustvarijo seznam gesel za enkratno uporabo in jih pošljejo svojim strankam po pošti za uporabo pri spletnem bančništvu. Enkratna gesla v tem primeru ne morejo biti enaka za vse, vendar ni nujno, da so 100 % edinstvena v vseh primerih.

Enkratna gesla so lahko z vidika uporabniške izkušnje nekoliko okorna. Gesla je treba varno prenesti in shraniti ali jih je treba varno ustvariti. Lažno predstavljanje je prav tako tveganje, medtem ko enkratna gesla dodajajo dodatno plast priložnosti za uporabnika, da ne nasede lažnemu predstavljanju, uporabnik, ki je bil že prepričan, da preda svoje uporabniško ime in geslo, bo običajno predal tudi enkratno geslo .

Zaključek

V računalniški varnosti OTP pomeni One Time Pad ali One Time Password. One Time Pad je tehnika šifriranja, ki nudi popolno tajnost. Vendar pa ima številne zahteve, zaradi katerih je uporaba v praksi nerodna in jo je na splošno zelo težavno pravilno implementirati v računalnike. Enkratne blazinice pa lahko uporabljate ročno, zaradi česar so uporabne za staromodno vohunsko plovilo. Enkratna gesla so skrivni nizi, ki jih lahko uporabite za prijavo. Delujejo lahko poleg ali namesto običajnega gesla. Dvostopenjska avtentikacija je en primer implementacije enkratnih gesel.